Estimated reading time: 4 Minuten
Arbeitgebende sind verpflichtet, angemessene technische und organisatorische Maßnahmen (TOM) zu ergreifen, um Datenschutzverstöße zu vermeiden. Dies gilt auch im Jahr 2025, in dem das Thema Homeoffice weiterhin und vielleicht sogar eine noch prominentere Rolle in der modernen Arbeitswelt spielen könnte, als bisher. Die Vertraulichkeit und Integrität personenbezogener Daten müssen auch bei der Arbeit von zu Hause aus gewährleistet sein. Personenbezogene Daten sind gemäß Art. 5 Abs. 1 lit. f DS-GVO vor unbefugter und unberechtigter Verarbeitung sowie unbeabsichtigtem Verlust, Beschädigung oder Zerstörung zu schützen.
Datenschutz im Homeoffice als Standard
Homeoffice hat sich seit der Corona-Pandemie als gängiges Arbeitsmodell etabliert. Unabhängig von der Arbeitsumgebung sind Beschäftigte verpflichtet, die datenschutzrechtlichen Vorgaben der DS-GVO einzuhalten. Dabei müssen sowohl Arbeitgeber als auch Arbeitnehmer Maßnahmen ergreifen, um den Schutz personenbezogener Daten zu gewährleisten.
Empfehlungen für ein datenschutzkonformes Homeoffice
Die Landesbeauftragten für Datenschutz empfehlen weiterhin folgende Maßnahmen, um ein datenschutzkonformes Arbeiten von zu Hause zu ermöglichen:
- Abschließbarer Raum oder Schrank: Ein eigener abschließbarer Raum zur sicheren Aufbewahrung von Dokumenten mit personenbezogenen Daten wird empfohlen. Falls dies nicht möglich ist, sollte zumindest ein abschließbarer Schrank oder Rollcontainer verwendet werden, um den Zugang für Dritte zu verhindern.
- Technische Ausstattung: Die technische Ausstattung sollte idealerweise vom Arbeitgebenden gestellt werden und ausschließlich beruflich genutzt werden. Dies reduziert das Risiko einer Vermischung beruflicher und privater Daten sowie die Gefahr einer Infektion mit Schadsoftware. Private Hardware sollte nicht mit den beruflichen Geräten verbunden werden.
- Vermeidung von Papierdokumenten: Das Ausdrucken von Dokumenten sollte auf ein Minimum beschränkt werden. Gedruckte Dokumente müssen nach den Vorgaben des Unternehmens vernichtet werden, vorzugsweise mit einem Schredder. Steht kein Schredder zur Verfügung, sollten die Dokumente ins Büro gebracht und dort fachgerecht entsorgt werden. Eine Entsorgung über den privaten Hausmüll ist unzulässig.
Sicherheit vor unbefugtem Zugriff
Damit unberechtigte Personen keinen Zugriff auf dienstliche Daten erhalten, gelten folgende Sicherheitsmaßnahmen:
- Arbeitsgeräte müssen beim Verlassen des Arbeitsplatzes stets gesperrt werden.
- Alle Geräte sollten über sicheren Passwortschutz oder andere Authentifizierungsverfahren (z. B. Chipkarten oder Tokens) verfügen.
- Daten und E-Mail-Verkehr sollten verschlüsselt werden.
- Der Zugriff auf Unternehmenssysteme sollte nur über ein Virtual Private Network (VPN) erfolgen.
Nutzung privater Endgeräte
Die Nutzung privater Endgeräte zur Erbringung der Arbeitsleistung kann grundsätzlich nicht vom Arbeitgebenden verlangt werden. Sie ist jedoch mit Zustimmung der Beschäftigten möglich, sofern vorab eine Prüfung der Endgeräte erfolgt, die ein angemessenes Schutzniveau sicherstellt. In diesem Fall sollten:
- Ein Extrakonto und ein verschlüsselter Bereich für berufliche Daten eingerichtet werden.
- Besonders sensible Daten gemäß Art. 9 DS-GVO, wie Gesundheitsdaten oder Daten zu politischen und weltanschaulichen Ansichten, nicht auf privaten Endgeräten verarbeitet werden.
Die Landesbeauftragten für Datenschutz empfehlen, private Endgeräte möglichst nicht für berufliche Zwecke zu nutzen, da eine Vermischung privater und beruflicher Daten erhebliche Risiken birgt.
Fazit
Das datenschutzkonforme Arbeiten im Homeoffice bleibt auch 2025 ein zentrales Thema. Arbeitgebende und Arbeitnehmende sollten gemeinsam daran arbeiten, sichere Arbeitsbedingungen zu schaffen, die die Vertraulichkeit, Integrität und Verfügbarkeit personenbezogener Daten gewährleisten. Durch klare Richtlinien und geeignete Maßnahmen können Datenschutzverstöße vermieden und das Vertrauen in moderne Arbeitsmodelle gestärkt werden.
Mit Blick auf die rechtliche Entwicklung wird ab 2025 die Umsetzung des “European Data Act” erwartet, der unter anderem den sicheren Umgang mit sensiblen Daten in hybriden Arbeitsmodellen weiter konkretisieren soll. Dieser neue Rechtsrahmen sieht vor, dass Unternehmen noch stärker in die Pflicht genommen werden, technische Standards für den Datenschutz zu erfüllen und zu überwachen. Auch für Arbeitnehmer werden die Anforderungen durch neue Regelungen zur sicheren Datenverarbeitung verschärft, die speziell auf die Herausforderungen des Homeoffice eingehen.
Quellen und weiterführende Informationen:
https://www.lda.bayern.de/media/best_practise_homeoffice_baylda.pdf
https://www.datenschutzzentrum.de/uploads/it/uld-ploetzlich-homeoffice.pdf
https://www.bfdi.bund.de/SharedDocs/Publikationen/Faltblaetter/Telearbeit.html
https://www.bsi.bund.de/DE/Themen/Cyber-Sicherheit/Empfehlungen/HomeOffice/homeoffice_node.html
https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained